2026年CANFAILフィッシングに学ぶ：認証コード隔離と使い捨てメールで入口を守る
2026年は「フィッシングの精度」が一段上がった年として記憶されるかもしれません。最近報告された CANFAIL というマルウェアに関する事例では、攻撃者がメールで標的をだまし、添付ファイルやクラウドリンク（例：共有ストレージ）を入口にして侵入を狙う流れが示されています。さらに注目すべきは、文章作成や下調べに大規模言語モデル（LLM）を活用し、説得力のある文面や業務っぽい言い回しを量産できる点です。
この記事でわかること（2026版）
- 攻撃側の型：メール → 共有リンク/添付 → 実行（JavaScript等）→ 追加取得
- 守るべき資産：本メールアドレス、認証コード（OTP）、メールアカウントのセッション
- 今日からできる対策：捨てメール/使い捨てメール、認証コード隔離、リンクの扱い、添付の手順化
一、なぜ2026年のフィッシングは「気づけない」のか
以前のフィッシングは、文法ミス、不自然な日本語、送信元の粗さなど「違和感」で見抜けることが多くありました。しかし2026年は、攻撃者がLLMで文章を整え、相手の業界・地域・部署に合わせた言い回しを作り、受信者が疑う前に行動させる設計が増えています。
さらに厄介なのが、リンク先が“それっぽい”クラウドストレージやフォーム、共有ドキュメントであるケースです。URLそのものは有名サービスに見え、社内のやり取りにも紛れやすい。結果として、メール本文の出来栄えよりも「いつも使う導線」に乗せられてしまうのです。
二、CANFAIL型の攻撃チェーンを「防御の言葉」に翻訳する
報道ベースの要点を、守る側が判断しやすい形にすると次のようになります。重要なのは“ファイル形式”より“実行される経路”です。
攻撃の典型パターン（例）
- 1. 誘導：公共機関/取引先/エネルギー関連などを装ったメールで緊急性を演出
- 2. 導線：共有リンク（ドライブ等）から圧縮ファイルを入手させる
- 3. 誤認：「PDFに見える二重拡張子」などで安全だと思わせる
- 4. 実行：JavaScriptやスクリプトが動き、追加の命令を取得
- 5. 拡大：メールアカウントや端末を足がかりに、さらに偽装メールを増やす
ここでの教訓はシンプルです。メールを入口に「実行」を発生させない、そして万一入口が突破されても被害の連鎖を短くする。これが2026年の現実的なゴールになります。
三、最初にやるべきは「本アドレス」と「認証コード」を分けること
フィッシング対策というと、URL確認やウイルス対策ソフトを思い浮かべがちですが、最も効くのは入口（メールアドレス）を分割して攻撃面を減らすことです。スパムや詐欺は「一度漏れたメールアドレス」に集まります。ならば、漏れてもいいアドレスと、絶対に守るアドレスを分けて運用します。
2026年のおすすめ分離モデル
- 登録用（捨てメール/使い捨てメール）：ニュースレター、無料トライアル、掲示板、採用応募、資料請求
- 認証コード用（OTP隔離）：ログイン、決済、本人確認など「コードが来る」用途だけに使う
- 本アドレス：家族、重要取引、復旧連絡など限定的にしか使わない
とくに認証コードの隔離は効果が大きいです。もし登録用アドレスが攻撃の標的になっても、OTPが別の受信経路なら「乗っ取りの決定打」を避けやすい。逆に、OTPが同じ受信箱に来る設計は、メールアカウントが取られた瞬間にほぼ詰みます。
四、メールを開く前にできる“5秒チェック”
2026年のフィッシングは本文が自然なので、読む前の手順を固定すると強いです。以下の“5秒チェック”を習慣化してください。
5秒チェック（個人/チーム共通）
- 送信者：表示名ではなくドメインを見る（似た綴り、余計なハイフンに注意）
- 緊急性：「至急」「本日中」「アカウント停止」など強い言葉ほど一旦止まる
- 導線：リンクはクリックしない。公式サイト/公式アプリから自分で開く
- 添付：圧縮（.rar/.zip）やスクリプト系は“開かない”を原則に
- 目的：結局何をさせたいメールか（ログイン、支払い、ファイル実行）を言語化する
五、TempForwardで実装する：捨てメール×転送×遮断の運用
TempForwardのような転送型の使い捨てメールを使うと、メールアドレスを“公開用の仮ID”として発行し、受信はいつもの受信箱に集約できます。便利さを落とさずに、攻撃面を減らせるのがポイントです。
おすすめの作り方（例）
- 1. サービスごとに別アドレスを作る（漏洩源が特定できる）
- 2. 「認証コードが来る用途」は別枠で管理する（OTP隔離）
- 3. スパム化したらワンクリックで遮断し、同サービスは新しいアドレスに切り替える
- 4. 重要な相手だけを許可する（ホワイトリスト運用）
こうした運用をすると、仮に「登録先のサービスが流出」しても、被害はそのアドレスに閉じます。メールアカウント全体が汚染されにくくなり、フィッシング誘導が届く確率そのものを下げられます。
六、まとめ：2026年は“入口の設計”が勝ち筋
CANFAILのような事例が示すのは、「攻撃者が賢くなる」だけではなく、「攻撃を成立させる導線が日常に溶け込んでいる」という現実です。だからこそ、防御側は“判断力”に頼りすぎず、入口（メールアドレス）と決定打（認証コード）を分離し、怪しい導線を踏まない仕組みに寄せていくのが合理的です。
今日からできる最短ルートは、捨てメール/使い捨てメールを導入し、サービスごとにアドレスを分け、OTPを隔離すること。これだけで、スパム・迷惑メール・フィッシングの「量」と「質」の両方に強くなれます。
2026年のメール環境を安全に保つために、まずはTempForwardで“公開用メールID”を作り、あなたの本当のアドレスを守るところから始めてください。